Приклади мережевих вірусів

mIRC.Acoragil і mIRC.Simpsalapim. Перші відомі mIRC-хробаки вияв­ле­­ні наприкінці 1997 року. Назви одер­­жа­ли по кодових словах, що викорис­то­ву­ються хробаками: якщо в тексті, пере­да­но­му в канал будь-яким корис­тувачем, присутній рядок "Acoragil", то всі корис­ту­вачі, заражені хробаком mIRC.Acoragil авто­ма­тич­­но відключаються від каналу. Те саме відбу­ва­ється з хробаком mIRC. Simpsalapim – він аналогічно реагує на рядок "Simpsalapim". При роз­мно­женні хробаки командами mIRC пересилають свій код у файлі SCRIPT. INI кожному новому користувачу, що підклю­чається до каналу. Містять троянську частину. Хробак mIRC.Simpsalapim міс­тить код захоплення каналу IRC – якщо mIRC власника каналу заражений, то по введенню кодового сло­ва "ananas", зловмисник перехоплює керування каналом. Хробак mIRC. Aco­ra­gil по кодових словах пересилає системні файли OC. Деякі кодові слова обрані так чином, що не привертають уваги жертви – hi, cya чи the. Одна з модифікацій цього хробака пересилає зловмиснику файл паролів UNIX.

Win95.Fono. Небезпечний резидентный файлово-завантажувальний полі­мор­фік-вірус. Використовує mIRC як один із способів свого поширення: перехоплює системні події Windows і при запуску файла MIRC32.EXE активізує свою mIRC-процедуру. При цьому відкриває файл MIRC.INI і записує в його кінець команду, що знімає захист:

[fileserver]

Warning=Off .

Потім створює файли SCRIPT.INI і INCA.EXE. Файл INCA.EXE містить дроппер вірусу, скрипт файла SCRIPT.INI пересилає себе і цей дроппер у канал IRC кожному, хто приєднується до каналу або виходить з нього.

pIRCH.Events. Перший відомий PIRCH-хробак. Розсилає себе кожному корис­ту­ва­чу, що приєднався. По ключових словах виконує різні дії, наприклад:

• по команді ".query" відбувається свого роду переклик, по якому заражені системи відповідають <Так, я вже заражена>;

• по команді ".exit" завершує роботу клієнта;

По інших командах хробак видаляє всі файли з диска С, надає доступ до файлів на зараженому комп'ютері і т.д.

IRC-Worm.Pron. Мережевий вірус-черв'як, зашифрований. Розмножується в IRC-кана­лах і використовує для свого розмноження mIRC-клієнта. Має дуже невели­ку довжину – всього 582 байти. Передається з мережі на комп'ютер у вигляді файла PR0N.BAT. При його запуску вірус копіює себе у файл PR0N.COM і запускає його на виконання. Заголовок вірусу влаштований таким чином, що він може виконуватися як BAT-, так і COM-програма, і в ре­зультаті управління передається на основну процедуру зараження системи. При зараженні системи вірус використовує дуже простий прийом: він копі­ює свій BAT-файл в поточний каталог і в каталог C\WINDOWS\SYSTEM (якщо такий відсутній, то вірус не заражає систему). Потім вірус записує свій код у файл WINSTART.BAT. Для розповсюдження свого коду через mIRC вірус створює новий файл SCRIPT.INI в каталозі mIRC-клієнта. Цей каталог вірус шукає за чотирма варіантами:

C\MIRC; C\MIRC32; C\PROGRA~1\MIRC; C\PROGRA~1\MIRC32 .

Скрипт вірусу містить всього одну команду – кожному користувачу, що підключається до зараженого каналу, передається вірусний файл PR0N.BAT. Вірус містить рядок-"копірайт".